在AWS EC2上搭建V2ray+Caddy代理

Page content

前提条件

本文假设读者已经具备以下条件:

  • 一台境外的vps,购买可参考:一些VPS商家整理;
  • 一个域名,无备案要求。先设置dns将域名解析到vps的ip,例如www.lockshell.com解析到xxx.xxx.xx.xx。
  • 为域名申请一个证书,可以从Let’s Encrypt获取免费证书;本文用到caddy能自动申请。
  • 有基本linux技巧,能使用vim/nano等编辑器。

理论上来说,证书不是必须的。 但没有tls加持或不做加密,防火墙直接能看出来流量真实意图从而进行干扰,这也是为什么不建议伪装http流量的原因。 本文给出的方法采用合法机构签发的证书对流量进行加密,不是做特征混淆得到的TLS流量,从而更难被检测和干扰。

关于伪装技术的选择,V2ray web+websocket+tls 和 V2ray web+http2+tls 常用来做对比。 理论上http2省去了upgrade的请求,性能更好。但实际使用中两者没有明显区别,本文使用的是websocket方式。

本文用到系统环境及软件版本如下:

  • 系统: ubuntu 18.04
  • Caddy: 2.x
  • V2ray: 4.x

V2ay服务端

服务端安装

curl -O https://raw.githubusercontent.com/v2fly/fhs-install-v2ray/master/install-release.sh
sudo bash install-release.sh

此脚本会自动安装以下文件:

  • /usr/bin/v2ray/v2ray:V2Ray 程序;
  • /usr/bin/v2ray/v2ctl:V2Ray 工具;
  • /etc/v2ray/config.json:配置文件;
  • /usr/bin/v2ray/geoip.dat:IP 数据文件
  • /usr/bin/v2ray/geosite.dat:域名数据文件 此脚本会配置自动运行脚本。
    自动运行脚本会在系统重启之后,自动运行 V2Ray。 目前自动运行脚本只支持带有 Systemd 的系统,以及 Debian / Ubuntu 全系列。

修改配置

编辑 /etc/v2ray/config.json 文件来配置你需要的代理方式。

vim /etc/v2ray/config.json 

启动V2ray

service v2ray start
  • 之后可以使用 service v2ray start|stop|status|reload|restart|force-reload 控制 V2Ray 的运行

服务端配置

将服务器 /etc/v2ray/config.json 文件修改成下面的内容。 这里是一个最基本的服务端配置,我们尽量保持简单,太复杂的东西总是难以维护,最后就放弃了。

修改完成后要运行service v2ray restart重启 V2Ray,才会使修改的配置生效。

启动后,V2ray会以 Vmess + WS 方式监听 8888 端口。

{
    "inbound": {
        "port": 8888, # 服务器监听端口
        "listen": "127.0.0.1", # 只监听 127.0.0.1,避免除本机外的机器探测到开放了8888端口 
        "protocol": "vmess",
        "settings": {
            "clients": [
                {
                    "id": "b831381d-6324-4d53-ad4f-8cda48b30811",
                    "alterId": 64
                }
            ]
        },
        "streamSettings": {
            "network": "ws", # WebSocket 方式
            "wsSettings": {
                "path": "/ray"
            }
        }
    },
    "outbound": {
        "protocol": "freedom", # 主传出协议 这里是直接转发所以流量
        "settings": {}
    }
}

V2Ray高级配置

V2Ray客户端

客户端配置

将客户端的 config.json 文件修改成下面的内容,修改完成后要重启客户端 V2Ray 才会使修改的配置生效。 (#及后面的文字为注释,json文件中不需要包含)

{
  "inbounds": [
    {
      "port": 1080, # 本地监听端口
      "protocol": "socks", # 入口协议为 SOCKS 5
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls"]
      },
      "settings": {
        "auth": "noauth"  #socks的认证设置,noauth 代表不认证,由于 socks 通常在客户端使用,所以这里不认证
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "vmess", # 出口协议
      "settings": {
        "vnext": [
          {
            "address": "your_server_ip", # 服务器地址,请修改为你自己的服务器IP
            "port": 8888,  # 服务器监听的端口
            "users": [
              {
                "id": "b831381d-6324-4d53-ad4f-8cda48b30811",  # 用户 ID,必须与服务器端配置相同
                "alterId": 64 # 此处的值也应当与服务器相同
              }
            ]
          }
        ],
        "streamSettings": {
          "network": "ws",
          "wsSettings": {
            "path": "/ray"
          }
        }
      }
    }
  ]
}

客户端运行

  • 在 Windows 和 macOS 中,配置文件通常是 V2Ray 同目录下的 config.json 文件。直接运行 v2ray 或 v2ray.exe 即可。
  • 在 Linux 中,配置文件通常位于 /etc/v2ray/config.json 文件。运行 v2ray –config=/etc/v2ray/config.json,或使用 systemd 等工具把 V2Ray 作为服务在后台运行。

Caddy安装与配置

为啥选Caddy

完成V2Ray + Websocket 模式的配置后,V2ray就基本可以正常使用了,但依然不够安全,存在被封的风险。 WALL不知道你做了什么,但知道你使用加密协议在访问外网。

V2ray伪装便是将穿墙流量以常见的HTTPS/TLS包装,大大降低vps被墙或被干扰的可能性,在敏感时期提供稳如狗的上外网体验。 通常的做法是将V2ray放在Nginx或Caddy或Apache代理的后面,伪装成普通http服务。

目前比较流行的是 Vmess + WebSocket + TLS (以下简称 wss)方式, WSS三件套的思路其实就是,本地v2ray客户端出口(outBound)访问代理服务器,然后通过代理服务器将请求转发到服务端的v2ray入口(inBound)。 由于使用TLS协议加密,且整个过程看起来就是普通的https请求,降低被WALL的几率。

  • 使用 Nginx/Caddy/Apache 是因为 VPS 已经有 Nginx/Caddy/Apache 可以将 V2Ray 稍作隐藏
  • 使用 WebSocket 是因为搭配 Nginx/Caddy/Apache 只能用 WebSocket
  • 使用 TLS 是因为可以流量加密,看起来更像 HTTPS
  • 使用域名是因为 TLS 需要使用域名和证书,域名需要添加A记录,将域名解析到Caddy所在的服务器

Nginx需要手动生成一个SSL证书,添加到配置里。 Caddy 会自动申请证书并自动更新,所以使用 Caddy 不用指定证书、密钥。这里选择更简单的 Caddy。

安装Caddy

sudo apt update
sudo apt install caddy

确认caddy版本

caddy version
v2.0.0 h1:pQSaIJGFluFvu8KDGDODV8u4/QRED/OPyIR+MWYYse8=

配置Caddy

新建一个Caddyfile,添加如下内容:

your_domain.com:443 {
    log {
        output file /home/vpn/caddy/access.log
    }
    root * /home/vpn/caddy/html
    file_server
    tls {
        protocols tls1.2 tls1.3
        ciphers TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
        curves x25519
    }
    @v2ray_websocket {
        path /ray
        header Connection *Upgrade*
        header Upgrade websocket
    }
    reverse_proxy @v2ray_websocket localhost:8888
}
  • Caddy v1.x 和 v2.x 的配置文件是不兼容的,这里我们采用的是最新的v2
  • Caddy监听 443 端口(可以是其他端口)
  • Caddy处理 TLS 之后,将流量转发到 V2Ray 的 WebSocket 所监听的内网端口,本例是8888
  • V2Ray收到请求后依然 按 Vmess 处理,V2ray服务器端不需要配置 TLS

启动Caddy

sudo caddy start --config Caddfile

检查证书

直接用浏览器访问这个地址,这里示例域名: yourdomain.com

https://crt.sh/?q=yourdomain.com

V2Ray客户端

更新客户端配置

{
  "inbounds": [
    {
      "port": 1080, # 监听端口
      "protocol": "socks", # 入口协议为 SOCKS 5
      "sniffing": {
        "enabled": true,
        "destOverride": [
          "http",
          "tls"
        ]
      },
      "settings": {
        "auth": "noauth" #socks的认证设置,noauth 代表不认证,由于 socks 通常在客户端使用,所以这里不认证
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "vmess", # 出口协议
      "settings": {
        "vnext": [
          {
            "address": "yourdomain.com", # 服务器地址,请修改为你自己的服务器域名
            "port": 443, # 服务器端口 443是https使用的端口
            "users": [
              {
                "id": "b831381d-6324-4d53-ad4f-8cda48b30811", # 用户 ID,必须与服务器端配置相同
                "alterId": 64 # 此处的值也应当与服务器相同
              }
            ]
          }
        ],
        "streamSettings": {
          "network": "ws",
          "security": "tls", # 客户端的 security 要设置为 tls
          "wsSettings": {
            "path": "/ray" # 注意:对于 V2Ray,/ray 和 /ray/ 是不一样的
          }
        }
      }
    }
  ]
}

新的配置修改了3个地方:(#及后面的文字为注释,json文件中不需要包含)

  • address:ip -> your_domain,把ip修改为你的域名,tls需要使用域名
  • port:8888 -> 443,443是https使用的端口,也是Caddy监听的端口
  • streamSettings添加 "security": "tls";服务端不用配,是因为tls交给Caddy处理了

注意:

  • 我们的客户端现在对接的是caddy了,端口啥的都要和caddy配置文件对应
  • 开启了 TLS 之后 path 参数是被加密的,WALL看不到
  • 主动探测一个 path 产生 Bad request 不能证明是 V2Ray
  • 使用 Header 分流并不比 path 安全,不要迷信 (不懂,反正教程里这么说的)

然后重启V2Ray客户端,这样访问代理的流量就跟访问普通网站一样,https/tls会加密路径信息,仅靠中间环节捕捉到的流量包极难区分是正常请求还是夹带私货的流量。 这也显示了v2ray的强大之处:通过配置不同的协议和载体,就能对进出的流量做定制。 从流量伪装、反向代理的功能上看,v2ray毫无疑问的是一个强大的网络框架/工具,科学上网功能只是其一个成功应用。

更多V2Ray客户端

可参照下面的教程安装配置不同平台的V2Ray客户端:

本文由 络壳 原创或整理,转载请注明出处